ARP欺骗

cain_arp嗅探

工具：cain软件

运行环境：windows

方式：ARP欺骗

由于局域网的网络流通不是根据IP地址进行，而是根据MAC地址进行传输。所以，MAC地址在A上被伪造成一个不存在的MAC地址，这样就会导致网络不通，A不能Ping通C！这就是一个简单的ARP欺骗。

一、启用sniffer，然后在空白区右键选择【Scan Mac Addresses】，扫描局域网中的主机。



二、点击左下角【ARP】选项，然后第一块空白区域，此时左上角的【+】图标会变深色，点击【+】图标。



三、 在窗口左边显示了局域网中的主机和网关，选择左侧部分表示对哪一个主机进行欺骗；右侧部分表示cain进行伪造的主机，在这里我们选择网关即运行cain的主机要冒充网关。对左侧选择的主机进行ARP欺骗，欺骗的结果是左侧选择的主机会认为网关是运行cain软件的主机。



四、选中之后点击OK，点击左上角的【start/stop ARP】,开始对选择的主机进行ARP欺骗。



五、当被选择的主机登录网站时，点击左下角的【Passwords】选项，即可嗅探到当前的登录信息。



ps：查看前后网关的变化：arp -a

导出系统注册表抓Hash的思路

首先使用administrator权限登录，然后使用reg来保存注册表中 HKLM下的SECURITY，SAM，SYSTEM，注意这里必须使用reg的save选项，export选项是不行的。

reg save hklm\sam sam.hive

reg save hklm\system system.hive

reg save hklm\security security.hive



然后把sam.hive，system.hive，security.hive下载回本地，打开cain,在【Decoders】标签下，点【LSA Secrets】,。点【+】来导入system.hive和security.hive



这里一般就能看到管理员的明文密码，但是这里的密码，有时候也是历史密码。如果尝试登录不对，可以来尝试爆破LM/NTLM hash



要破解LM/NTLM hash，首先点【Cracker】标签下的【LM&NTLM hashes】，然后点【+】导入 sam.hive，注意由于现在的 win2000以后都默认使用了syskey，所以还要导入system.hive中的 syskey的值，然后彩虹表破解。